Как проверить фишинговое письмо от криптосервиса

Письмо пришло с настоящего адреса криптосервиса. Логотип на месте, подпись знакомая, тема пугает: срочно обновите кошелёк, смените API-ключи или подтвердите доступ. Раньше такая проверка могла успокоить. Теперь её мало.

В сентябре 2026 года злоумышленники получили доступ к аккаунтам клиентов почтовой платформы Brevo и разослали фишинговые сообщения через легитимную инфраструктуру. Письма проходили обычные проверки подлинности и выглядели убедительно. Главный вывод для пользователя простой: адрес отправителя остаётся одной подсказкой, но решение нужно принимать по совокупности признаков.

Ниже разберём, как проверить письмо примерно за минуту и что делать, если вы уже открыли ссылку или раскрыли секреты.

Что произошло

10 сентября 2026 года Brevo обнаружила уязвимость в работе SAML SSO. Через SSO пользователь входит в разные сервисы с одной учётной записью. Из-за ошибки границы доступа злоумышленник смог попасть в 138 клиентских аккаунтов Brevo.

По итоговому отчёту компании:

• шесть аккаунтов использовали для рассылки фишинговых писем;
• из 43 аккаунтов экспортировали контакты;
• в 93 аккаунтах значимой активности не обнаружили;
• путь доступа закрыли в 08:30 UTC 10 сентября, через два часа после обнаружения;
• все активные сессии сбросили.

Под удар попали клиенты нескольких криптокомпаний, среди них Trezor, BitBox и CoinTracking. В случае Trezor сообщение получили около 347 000 подписчиков. Письмо называлось «Critical Security Alert: STM32 Entropy Vulnerability» и предлагало скачать приложение. Затем приложение запрашивало резервную копию кошелька, то есть набор слов для восстановления доступа.

Trezor отключил вредоносный домен через DNS в течение 20 минут. До блокировки по ссылке успели перейти около 2 500 человек. Компания отдельно уточнила: её кошельки и внутренняя инфраструктура не были взломаны. Риск возникал у тех, кто ввёл резервную копию кошелька в скачанное приложение или на сторонней странице.

У CoinTracking злоумышленники выбрали другую приманку. Письмо с темой «Data Breach Notice: Please refresh API Keys as soon as possible» требовало срочно обновить API-ключи. Компания сообщила, что её собственные системы, пароли, ключи и сведения о портфелях не пострадали.

Схема сработала за счёт доверия. Письмо пришло по знакомому каналу и выглядело как забота о безопасности. По сути, пожарную тревогу включил сам поджигатель.

Почему проверки адреса отправителя больше мало

Обычный фишинг часто выдаёт кривой домен: вместо названия компании в адресе появляется лишняя буква, дефис или чужая доменная зона. Здесь всё выглядело аккуратно, потому что рассылка шла через инфраструктуру, которой компании действительно пользовались.

Brevo подтвердила, что сообщения прошли стандартные проверки электронной почты. Поэтому привычная инструкция «посмотрите на адрес отправителя» поймала бы далеко не всех.

Безопасность теперь стоит на трёх проверках:

1. Канал. Откуда пришло сообщение и есть ли такое же уведомление внутри приложения или личного кабинета.
2. Содержание. Какие действия требуют и почему торопят.
3. Секреты. Запрашивают ли пароль, код двухфакторной аутентификации, API-ключ или резервную фразу кошелька.

Если письмо проваливает хотя бы одну проверку, остановитесь. Минутная пауза дешевле восстановления доступа и перевода активов на новый кошелёк.

Проверка письма за 60 секунд

Шаг 1. Уберите срочность из уравнения

Фразы «средства под угрозой», «аккаунт заблокируют сегодня» и «обновите ключ немедленно» рассчитаны на автоматическую реакцию. Закройте письмо на минуту. Настоящая служба безопасности переживёт эту паузу, мошенническая схема потеряет главный рычаг.

Шаг 2. Не нажимайте кнопку в письме

Откройте сервис самостоятельно:

• через сохранённую закладку;
• вручную набрав адрес сайта;
• через официальное приложение.

Проверьте уведомления в личном кабинете. При настоящем массовом инциденте компания обычно публикует сообщение в приложении, блоге, статус-центре или официальных соцсетях.

Шаг 3. Посмотрите, что у вас просят

Пароль, резервная фраза, приватный ключ, код 2FA и API-ключ дают доступ к деньгам или аккаунту. Письмо, которое ведёт на форму для ввода таких секретов, нужно считать опасным до подтверждения через официальный канал.

Резервная фраза кошелька особенно чувствительна. С её помощью кошелёк восстанавливают на другом устройстве. Кто получил эти слова, тот может получить контроль над активами.

Шаг 4. Проверьте новость в двух местах

Найдите подтверждение на официальном сайте компании и ещё в одном независимом источнике. Подойдёт профильное издание по кибербезопасности. Скриншот из чата или пересказ блогера доказательством не служит.

Шаг 5. Спросите поддержку своим маршрутом

Откройте раздел поддержки на сайте или в личном кабинете. Не отвечайте на подозрительное письмо и не используйте контакты из него.

Для связи с BitTeam используйте официальные каналы: раздел «Поддержка» в личном кабинете, Telegram-бот @bit_team_bot или почту support@bit.team. Пароли, коды 2FA, приватные ключи и резервные фразы в обращение не отправляйте.

Что делать, если вы уже взаимодействовали с письмом

Дальнейшие шаги зависят от действия. Паника здесь мешает. Нужна точная диагностика.

Что произошло	Что делать
Только прочитали письмо	Закройте и удалите его. Проверьте официальное сообщение компании.
Открыли ссылку, ничего не вводили и не скачивали	Закройте страницу. Не возвращайтесь по этой ссылке. Проверьте уведомления сервиса через сайт или приложение.
Скачали или запустили файл	Прекратите работу с подозрительной программой. Свяжитесь с официальной поддержкой сервиса и специалистом по безопасности устройства. До проверки не вводите на этом устройстве пароли и резервные фразы.
Ввели пароль	С чистого устройства откройте официальный сайт, смените пароль, завершите активные сессии и включите 2FA. Если пароль повторялся на других сайтах, замените его и там.
Передали API-ключ	Отзовите ключ на бирже, которая его выдала, и создайте новый. Проверьте разрешения ключа и историю действий.
Ввели резервную фразу кошелька	Считайте старый кошелёк скомпрометированным. Создайте новый кошелёк по официальной инструкции и немедленно переведите активы на новый адрес.

Ключевой рубеж проходит по раскрытым секретам. Один клик сам по себе не равен потере активов. Ввод секрета меняет ситуацию: пароль можно заменить, API-ключ отозвать, а раскрытую резервную фразу вернуть в безопасное состояние уже нельзя. Нужен новый кошелёк.

Метод «СТОП» для тревожных писем

Чтобы не держать в голове длинную инструкцию, используйте четыре шага:

• С — сбросить спешку. Ничего не делать первые 60 секунд.
• Т — точка входа. Открыть сервис самостоятельно, без ссылки из письма.
• О — официальный канал. Проверить личный кабинет, статус-страницу и поддержку.
• П — проверить запрос. Никому не передавать пароль, 2FA, API-ключ, приватный ключ или резервную фразу.

Эту памятку можно сохранить рядом с паролями, но без самих паролей. Она полезнее абстрактного совета «будьте внимательны», потому что задаёт конкретный порядок действий.

Когда этой проверки недостаточно

Минутный алгоритм помогает остановить большинство писем с давлением и вредоносными ссылками. Он не заменяет техническую помощь, если вы:

• установили программу из письма;
• ввели секреты на открывшейся странице;
• подтвердили операцию кодом 2FA;
• заметили неизвестный вход, вывод средств или новый API-ключ;
• повторно использовали один пароль в нескольких сервисах.

В этих случаях фиксируйте время, адрес отправителя, ссылку и свои действия. Сделайте скриншоты, но не пересылайте секреты. Затем обращайтесь в поддержку через официальный сайт. Чем точнее вы опишете последовательность событий, тем быстрее специалист поймёт масштаб проблемы.

Что изменилось после сентябрьской атаки

Фишинг научился носить форму настоящего сервиса. Корректный логотип, грамотный текст и знакомый адрес больше не дают зелёный свет автоматически.

Рабочая привычка выглядит иначе: получили тревожное письмо, закрыли его, вошли в сервис своим маршрутом и проверили сообщение внутри. Это занимает минуту. Иногда именно эта минута отделяет испуг от дорогой ошибки.

Если письмо касается аккаунта BitTeam, проверяйте информацию в личном кабинете и обращайтесь только через официальные каналы поддержки: @bit_team_bot или support@bit.team.